L’évolution des Lois canadienne sur la protection des renseignements personnels

Cette page Web a été archivée dans le Web

L’information dont il est indiqué qu’elle est archivée est fournie à des fins de référence, de recherche ou de tenue de documents. Elle n’est pas assujettie aux normes Web du gouvernement du Canada et elle n’a pas été modifiée ou mise à jour depuis son archivage. Pour obtenir cette information dans un autre format, veuillez communiquer avec nous.

Allocution devant l'Association du Barreau canadien - Ontario Institute 2000

Le 28 janvier 2000
Toronto, Ontario

Bruce Phillips
Commissaire à la protection de la vie privée du Canada
(Le texte prononcé fait foi)


La plus grande partie du débat entourant la loi C-6, Loi sur la protection des renseignements personnels et les documents électroniques, a porté sur les questions d'ordre pratique se rapportant à sa mise en ouvre. Au risque de décevoir certains d'entre vous, je n'ai pas l'intention de ne parler que des aspects pratiques de la Loi, étant donné que votre rôle professionnel consiste à offrir des conseils pratiques au sujet de la Loi. Il est cependant tout aussi important que vous compreniez pleinement l'importance de ce texte de loi et la place que celui-ci tient dans une société démocratique moderne. J'aimerais donc parler de certains principes fondamentaux de la protection de la vie privée ainsi que de l'évolution des dispositions législatives du Canada sur la protection des renseignements personnels - comment nous sommes parvenus au point où nous sommes aujourd'hui.

L'énonciation moderne de la notion de « vie privée » est l'ouvre de deux jeunes juristes américains, MM. Warren et Brandeis, dans un article publié en 1890 dans la Harvard Law Review. MM. Warren et Brandeis ont décrit la notion de vie privée comme le « droit de vivre en paix ». Cette définition fondamentale a donné lieu à une série d'améliorations qui englobent le droit ou la volonté d'être à l'abri d'un grand nombre des immixtions abusives qui affligent la société moderne. La notion de vie privée englobe désormais toute une série d'intérêts : la protection des renseignements personnels, la vie privée, l'absence de surveillance, le caractère privé des lieux qui nous entourent, et le caractère privé de la personnalité - soit le droit de préserver sa propre identité.

Les instruments qui sont au cour du droit international moderne accordent la primauté à la vie privée. La Déclaration universelle des droits de l'homme, le Pacte international relatif aux droits civils et politiques, la Convention européenne des droits de l'homme et l'American Convention on Human Rights reconnaissent tous la vie privée comme l'un des droits humains fondamentaux. Le préambule de la Déclaration universelle des droits de l'homme définit le document comme « l'idéal commun à atteindre par tous les peuples et toutes les nations ». L'article 12 énonce de manière explicite le droit à la vie privée :

Nul ne sera l'objet d'immixtions arbitraires dans sa vie privée, sa famille, son domicile ou sa correspondance, ni d'atteintes à son honneur et à sa réputation. Toute personne a droit à la protection de la loi contre de telles immixtions ou de telles atteintes.

Le Pacte international relatif aux droits civils et politiques contient des dispositions analogues à celles que l'on trouve dans la Déclaration universelle, tandis que la Convention européenne sur les droits humains évoque également le droit au respect de sa vie privée et familiale, de son domicile et de sa correspondance, comme l'American Convention on Human Rights.

Ces dispositions constituent les énoncés internationaux explicites relatifs à la vie privée. Les droits à la vie privée sont également enchâssés dans ces instruments internationaux en tant qu'éléments essentiels d'autres droits - dont le droit à la vie, à la liberté et à la sécurité et le droit à la protection contre les fouilles, les perquisitions ou les saisies abusives. Ces droits « cachés » à la vie privée se retrouvent aussi dans la Charte canadienne des droits et libertés.

Bien entendu, aucun de ces droits explicites ou implicites relatifs à la vie privée n'est absolu. Par exemple, l'article 8 de la Convention européenne interdit l'ingérence d'une autorité publique dans l'exercice du droit relatif à la vie privée que pour autant que cette ingérence est prévue par la loi et constitue une mesure qui, dans une société démocratique, est nécessaire à la sécurité nationale, à la sûreté publique, au bien-être économique du pays, à la défense de l'ordre et à la prévention des infractions pénales, à la protection de la santé ou de la morale, ou à la protection des droits et libertés d'autrui.

Parmi les définitions modernes les plus puissantes de la volonté d'assurer une protection contre la trop grande curiosité d'entreprises et de pouvoirs publics, mentionnons les Lignes directrices régissant la protection de la vie privée et les flux transfrontières de données de caractère personnel de l'OCDE qui ont été adoptées en 1980. En 1984, le Canada s'est joint à 22 autres nations industrialisées en souscrivant aux lignes directrices. Celles-ci visaient à harmoniser les dispositions législatives et les méthodes en matière de protection des données parmi les pays membres de l'OCDE par l'établissement de normes minimales pour le traitement des données de caractère personnel. Les Lignes directrices, en soi, ne sont pas exécutoires, mais elles sont devenues le point de départ de dispositions législatives relatives à la protection des données dans le monde entier, y compris au Canada.

Les Lignes directrices de l'OCDE ont été remplacées par des lois nationales ou, dans certains cas, des lois supranationales, comme la Directive de l'Union européenne relative à la protection des données à caractère personnel.

Comment se fait-il que la protection de la vie privée ait pris autant d'importance dans ces instruments internationaux – Manifestement, les abus du passé qui sont associés à l'absence de protection en matière de vie privée en sont les principales raisons. Les régimes autoritaires qui ont secoué le monde au cours du dernier siècle sont tous caractérisés par l'absence flagrante de protection de la vie privée, et l'une des plus grandes protections contre les excès - ou, en fait, l'émergence - de tels régimes est le respect de la vie privée.

Il reste de nombreuses raisons pour continuer de promouvoir le respect de ce droit fondamental de la personne. J'aimerais en nommer deux en particulier - l'intrusion sans cesse croissante de la technologie et le goût apparemment insatiable des gouvernements même démocratiques et du secteur privé pour l'intrusion dans la vie des particuliers.

De mon point de vue de commissaire à la protection de la vie privée du Canada, je constate chez les ministères un appétit sans cesse croissant pour l'obtention de renseignements personnels, le jumelage de ceux-ci à d'autres renseignements personnels et l'élargissement des fins auxquelles les renseignements servent. Je vois aussi un secteur privé qui prospère grâce aux renseignements personnels et à d'autres formes de surveillance. Les tests de dépistage d'usage de drogue, les caméras de surveillance, la surveillance des ordinateurs des employés ne sont que quelques exemples du grand nombre de formes de surveillance de ce type. Ces forces menacent de faire disparaître la notion de vie privée. Si rien n'y est fait, elles pourraient confirmer la rumeur - marquée par l'exagération - que lançait récemment par la revue The Economist voulant que la vie privée ait rendu l'âme.

Réaction du Canada

La première réaction du Canada à l'appel lancé en faveur de la protection des renseignements personnels - ou de la protection des données, selon l'expression privilégiée en Europe - au niveau gouvernemental a été l'introduction des dispositions relatives à la protection des données dans la Loi canadienne sur les droits de la personne. Cependant, en 1982, le Parlement promulguait une loi spécifique - la Loi sur la protection des renseignements personnels. Cette loi est entrée en vigueur en 1983.

Certains d'entre vous sont peut-être familiers avec la Loi sur la protection des renseignements personnels et les responsabilités qui incombent au commissaire à la protection de la vie privée. Toutefois, en raison de la grande diversité de vos activités, je pars du principe que tout le monde n'est pas nécessairement au fait de la Loi ou de mes responsabilités.

Je suis un agent du Parlement, ce qui signifie que je ne relève d'aucun ministre. Je relève du Parlement. Ma principale responsabilité à l'heure actuelle consiste à superviser l'application de la Loi sur la protection des renseignements personnels. Cette loi, qui est entrée en vigueur en 1983, régit la façon dont les institutions fédérales réunissent, utilisent et communiquent les renseignements personnels à mon sujet et à votre sujet. Elle nous confère également le droit de consulter l'information que le gouvernement fédéral détient sur nous et le droit de demander que soient corrigés les renseignements erronés. En vertu de la Loi sur la protection des renseignements personnels, j'ai aussi le pouvoir de mener des vérifications auprès d'institutions fédérales pour m'assurer que celles-ci respectent la Loi, et je dois faire enquête à l'égard des plaintes de non-respect de la Loi qui sont déposées par des particuliers. La Loi sur la protection des renseignements personnels et ses dispositions législatives équivalentes dans la plupart des provinces sont l'expression de principes reconnus au plan international en tant que « pratiques équitables de traitement de l'information ». Bien que le Commissariat n'ait pas mission de mener de vastes projets de recherche et d'information du public en vertu de la Loi sur la protection des renseignements personnels, je considère qu'il est devenu un chef de file en matière de sensibilisation sur les questions de protection de la vie privée au Canada. Nous avons aussi mené des recherches importantes et prospectives sur les grandes questions relatives à la protection de la vie privée que nous devrons affronter au cours des prochaines années.

L'élément le plus important à retenir au sujet de mon travail est peut-être le fait que je fonctionne comme un protecteur du citoyen, ou ombudsman. Je n'ai aucun pouvoir d'application de la loi et, au risque de vous surprendre, je n'en veux pas. Mes collaborateurs et collaboratrices n'en veulent pas, non plus. La formule de protecteur du citoyen me permet de mener des vérifications et des enquêtes auprès d'institutions fédérales sans importer automatiquement le climat antagoniste qui s'installerait si j'avais des pouvoirs d'exécution de la loi. L'utilité de mon rôle de protecteur du citoyen tient essentiellement dans la conduite de recherches et de négociations efficaces auprès d'institutions gouvernementales. Et en dernier recours, et seulement si les circonstances le justifient, j'ai ce que j'appellerai le pouvoir d'embarrasser.

Comme le montrent les seize années d'expérience du Commissariat en tant que protecteur du citoyen responsable de mener des enquêtes à l'égard des plaintes, la méthode forte n'est pas nécessaire pour protéger les droits des Canadiens et des Canadiennes en matière de protection de la vie privée. Au lieu de la confrontation, le protecteur du citoyen privilégie le règlement des plaintes. Et, ce qui peut-être importe le plus, en fin de compte, il privilégie la correction des problèmes sous-jacents qui ont conduit au dépôt des plaintes.

La Loi sur la protection des renseignements personnels et ses équivalents provinciaux constituent la réaction initiale du Canada au consensus international concernant la nécessité de promouvoir l'équité dans le traitement des renseignements personnels, en général, et pas seulement dans certains secteurs, comme l'évaluation du crédit et les transactions bancaires. Ces lois incarnent en grande partie l'engagement pris par le Canada quant à l'établissement de pratiques équitables de traitement de l'information pour ce qui est des renseignements personnels qui sont détenus par les pouvoirs publics. Cependant, jusqu'au dépôt de la Loi sur la protection des renseignements personnels et les documents électroniques, l'an dernier, la réaction du Canada à l'appel lancé en faveur de l'adoption, pour le secteur privé, de pratiques équitables de l'information était cruellement insuffisante. À ce jour, seulement le Québec avait promulgué des dispositions législatives exhaustives en matière de protection des données applicables au secteur privé. Et je me réjouis de dire que la loi C-6 est sur le point de combler cette lacune.

La loi C-6 concerne essentiellement la protection du droit de vivre en paix. Elle vise à assurer un juste équilibre entre les besoins légitimes en information du secteur privé et les droits essentiels des particuliers dans une démocratie.

L'objectif du projet de loi n'est pas d'entraver le commerce mais plutôt de créer un état d'esprit qui fera en sorte que le monde des affaires tiendra toujours compte du droit à la vie privée des clients et des employés dans le développement tant de produits que de pratiques administratives. Cela n'arrivera pas soudainement. En affaires, la satisfaction des clients et abonnés est primordiale. En fait, la réputation d'une entreprise est son plus grand atout et personne ne souhaite être identifié comme faisant fi de la loi.

En présumant que ce projet de loi soit adopté, il s'agira là de l'outil législatif de défense le plus important depuis la promulgation en 1982 de la Loi sur la protection des renseignements personnels. Quoique imparfait -et quel projet de loi l'est ?- ce projet constitue néanmoins un grand pas vers l'avant. Il exigera du monde des affaires l'application d'un code de pratiques équitables de l'information, reposant sur le consentement de la personne pour la collecte, l'utilisation et la communication de ses renseignements personnels. Le mécanisme de révision indépendant prévu est d'ailleurs tout aussi important. Le commissaire à la protection de la vie privée du Canada se voit conférer le droit de mener des enquêtes, de produire des rapports et d'effectuer des vérifications. En dernier ressort, le projet de loi permet le recours à la Cour fédérale, laquelle a le pouvoir d'accorder des dommages intérêts.

Vous pourriez bien entendu regarder la loi d'un oil très froid et professionnel et la décrire simplement comme une loi régissant le traitement des données à caractère personnel par le secteur privé du Canada. Ou vous pourriez la voir, comme je vous y exhorte, comme une loi visant à accroître le respect de l'un des fondements d'une société démocratique - le droit d'exercer un contrôle sur ce que les autres peuvent apprendre à notre sujet. N'oublions pas ce qui est au cour de la discussion au sujet de cette loi. Nous parlons de dignité de la personne, de l'autonomie de la personne.

La Loi confère aux particuliers des droits relatifs aux renseignements personnels les concernant. En même temps, elle respecte les besoins légitimes des entreprises consistant à réunir et à utiliser des renseignements personnels. Les renseignements personnels concernant les particuliers doivent être protégés, mais cela peut se faire sans qu'il soit nécessaire de recourir à une approche lourde qui ne tient pas compte des intérêts commerciaux légitimes relatifs aux renseignements personnels.

Certains d'entre vous pourraient douter du bien-fondé d'élargir la protection relative à la vie privée. Après tout, un bon nombre de lois protègent déjà les renseignements personnels - les lois sur l'évaluation du crédit, les dispositions législatives régissant les dossiers médicaux et les codes de déontologie professionnels qui ont été incorporés à des textes de loi. Ces protections sont toutefois en pièces détachées et manquent d'uniformité.

Il ne s'agit pas de décider si nous devons protéger la vie privée, mais plutôt de la façon dont nous avons l'intention de le faire. En octobre 1998, la Directive de l'Union européenne relative à la protection des données de caractère personnel entrait en vigueur. Comme un bon nombre d'entre vous le savez, elle visait à faciliter les transferts de données de caractère personnel entre les pays membres de l'Union. Elle facilite les transferts de données personnelles en exigeant des pays membres qu'ils offrent des niveaux équivalents de protection des données. Par conséquent, le transfert des données transfrontières ne devrait pas miner la sécurité des données.

La Direction de l'Union européenne, toutefois, ne s'arrête pas aux frontières de ses membres. L'article 25, en effet, impose des conditions relatives au « caractère adéquat » des transferts de données de caractère personnel d'un État membre à un pays tiers. Les États membres doivent s'assurer que le transfert vers un pays tiers de données à caractère personnel ne peut avoir lieu que si le pays tiers en question assure un niveau de protection adéquat. Le caractère adéquat du niveau de protection offert par un pays tiers s'apprécie au regard de toutes les circonstances relatives à un transfert de données à caractère personnel. Cela comprend la nature des données, la finalité et la durée du ou des traitements envisagés, les pays d'origine et de destination finale, les règles de droit en vigueur dans le pays tiers en cause, ainsi que les règles professionnelles et les mesures de sécurité qui y sont respectées. Lorsque la Commission de l'Union européenne constate qu'un pays tiers n'assure pas un niveau de protection adéquat, les États membres prennent les mesures nécessaires en vue d'empêcher tout transfert de même nature vers le pays tiers en cause.

Des observateurs ont de prime abord trouvé risible l'idée que l'Union européenne impose des règles sur les transferts de données vers des pays tiers. Pourtant, des pays aussi puissants que les États-Unis cherchent désormais à satisfaire aux critères définis par la Directive de l'Union européenne.

Au contraire du Canada, les É.-U. n'ont pas adopté de dispositions législatives exhaustives sur la protection des données applicables au secteur privé. Ce pays a plutôt opté pour une approche sectorielle qui repose sur un agencement de dispositions législatives, de règlements et d'auto-réglementation. Il a choisi de confier le dossier au U.S. Department of Commerce (département du Commerce des États-Unis) et d'élaborer ce qu'il appelle des « principes internationaux relatifs au port sûr ». Ces principes s'appliquent aux organisations américaines qui reçoivent des données de caractère personnel de pays membres de l'Union européenne et visent à respecter les conditions relatives au « caractère adéquat » énoncées à l'article 25 de la Directive de l'Union européenne. Il revient cependant aux organisations américaines de décider si elles se conformeront ou non aux principes du port sûr. Celles qui, toutefois, décideraient de le faire doivent respecter les principes afin d'obtenir et de conserver les avantages conférés au « port sûr ». Autrement dit, pour garantir que le traitement des données de caractère personnel qui sont reçues de la Communauté européenne répond au critère du « caractère adéquat » énoncé dans la Directive, les organisations américaines doivent respecter les principes relatifs au port sûr. Ces principes continuent de faire l'objet de négociations avec la Communauté européenne et, pour cette raison, continuent d'évoluer.

Le Canada a pour sa part choisi une voie législative qui allie des dispositions législatives applicables à un secteur donné et des dispositions législatives exhaustives sur la protection des données. La loi C-6 s'inspire du Code type sur la protection des renseignements personnels de l'Association canadienne de normalisation. Le secteur privé a contribué à l'élaboration de ce code et peut en revendiquer une partie. La Loi ne représente donc pas l'imposition maladroite, à un milieu d'affaires non consentant, de principes qui lui sont étrangers. En fait, et peut-être davantage que presque tous les autres textes législatifs adoptés ces dernières années, elle reflète le consensus atteint par d'importants secteurs des milieux d'affaires canadiens.

La loi C-6 me confère le pouvoir de recourir aux tribunaux. J'espère toutefois utiliser ce pouvoir avec parcimonie. Je n'ai pas l'intention d'entraver les intérêts commerciaux légitimes relatifs aux renseignements personnels, mais je tiens plutôt à protéger les renseignements personnels contre une trop grande curiosité de la part du secteur privé.

Dois-je vous rappeler l'objet de la partie de la loi C-6 se rapportant à la protection de la vie privée – Cette partie vise l'établissement de règles destinées à régir la collecte, l'utilisation et la communication de renseignements personnels d'une manière qui tienne compte du droit des particuliers au respect de la vie privée en ce qui concerne les renseignements personnels réunis à leur sujet et de la nécessité, pour les organisations, de réunir, d'utiliser ou de communiquer des renseignements personnels à des fins qu'une personne raisonnable considérerait comme justifiées dans les circonstances. D'une certaine façon, j'espère faire fonction de représentant de cette « personne raisonnable ». Une personne raisonnable ne prendra pas à partie toutes les entreprises qui réunissent des renseignements personnels. Cependant, une personne raisonnable contestera la collecte excessive et persistante de renseignements à son sujet, la communication aveugle ou imprudente de ces renseignements à d'autres entités et le mystère entourant les méthodes de traitement de l'information.

Le Commissariat a l'intention d'aider les entreprises dans l'application de la nouvelle loi, et non pas de faire entrave à leurs opérations. Je n'ai nullement l'intention de recourir à la confrontation. Les droits relatifs à la vie privée doivent toutefois être respectés conformément à ce que prévoit la Loi. Et je crois que, dans la grande majorité des cas, nous pourrons en arriver à ce respect sans confrontation, sans contestations judiciaires et sans rancour.

Conclusion

La loi C-6 ne représente pas l'aboutissement du processus de protection de la vie privée au Canada, loin s'en faut. Il reste en fait d'énormes lacunes à combler quand il s'agit de protéger les particuliers contre les immixtions abusives, que celles-ci découlent du traitement des renseignements personnels ou d'autres formes de surveillance.

N'oublions pas que la protection des données B la protection des renseignements personnels B ne représente qu'un élément de tout le processus de protection de la vie privée. Les progrès technologiques et l'appétit qu'ont les pouvoirs publics et le secteur privé pour d'autres formes de surveillance continuent de mettre au défi les personnes qui s'emploient à protéger la dignité et l'autonomie fondamentales des particuliers dans notre société. Je n'ai qu'à vous rappeler les paroles du juge La Forest dans l'affaire in R. v. Wong, qui citait l'auteur d'un commentaire fructueux sur le Quatrième amendement à la Constitution américaine :

« ...compte tenu du développement de la technologie moderne de l'écoute électronique, nous ne pouvons nous assurer d'être à l'abri de toute surveillance aujourd'hui que si nous nous retirons dans notre sous-sol, couvrons nos fenêtres, fermons les lumières et gardons un silence absolu. »

Je ne puis qu'espérer que, collectivement, nous aurons la sagesse et la volonté d'éviter que la situation que je viens de décrire devienne la réalité au Canada.

Signaler un problème ou une erreur sur cette page
Veuillez cocher toutes les réponses pertinentes (obligatoire) : Erreur 1 : Ce champ est obligatoire.

Remarque

Date de modification :